← Cloudflare AI Gateway / ai-gateway / configuration

BYOK (ukládání klíčů)

Bring your own keys (BYOK) je funkce Cloudflare AI Gateway, která umožňuje bezpečně uložit API klíče vašich poskytovatelů AI přímo v Cloudflare dashboardu. Místo toho, abyste API klíče uváděli v každém požadavku na své modely AI, je můžete nastavit jednou v dashboardu a odkazovat na ně v konfiguraci své gateway.

Klíče jsou bezpečně uloženy pomocí Secrets Store a umožňuje:

• Zabezpečené úložiště a omezená expozice
• Snazší rotace klíčů
• Limit počtu požadavků, limit rozpočtu a další omezení pomocí Dynamic Routes

• Ujistěte se, že váš gateway je autentizovaný.
• Ujistěte se, že máte odpovídající oprávnění k vytvoření a nasazení secrets ve službě Secrets Store.

BYOK můžete nakonfigurovat z dashboardu nebo pomocí API.

Když přidáte klíč poskytovatele z dashboardu, AI Gateway automaticky vytvoří a pojmenuje secret v Secrets Store.

1. Přihlaste se do Cloudflare dashboard ↗ a vyberte svůj účet.
2. Přejděte na AI > AI Gateway.
3. Vyberte svůj gateway nebo vytvořte nový.
4. Přejděte na Provider Keys sekce.
5. Klikněte na Přidat API klíč.
6. Vyberte svého poskytovatele AI z rozevírací nabídky.
7. Zadejte svůj klíč API a volitelně uveďte popis.
8. Klikněte na Save.

Pokud pro konfiguraci BYOK používáte API, vytvořte secret v Secrets Store ještě před vytvořením konfigurace poskytovatele. Secret pojmenujte podle tohoto formátu:

{gateway_id}_{provider_slug}_{alias}

Například pro gateway my-gateway, poskytovatel anthropic, a alias default, vytvořte tajný klíč Secrets Store takto:

my-gateway_anthropic_default

Poté vytvořte konfiguraci poskytovatele se stejným provider_slug a alias hodnoty.

secret_id vrácený Secrets Store nepoužívá AI Gateway pro vyhledávání za běhu, takže tajné klíče vytvořené přes API musí dodržovat konvenci pojmenování.

Jakmile máte v dashboardu nakonfigurované své API klíče:

1. Odstranění klíčů API z kódu: Odstraňte veškeré napevno zakódované API klíče nebo proměnné prostředí.
2. Aktualizovat hlavičky požadavku: Odeberte z požadavků autorizační hlavičky poskytovatele. Nezapomeňte, že stále musíte předat cf-aig-authorization.
3. Otestujte svou integraci: Ověřte, že požadavky fungují bez uvedení klíčů API.

Po zapnutí BYOK se váš workflow změní z:

1. Tradiční přístup: Zahrňte klíč API do hlavičky každého požadavku

   curl https://gateway.ai.cloudflare.com/v1/{account_id}/{gateway_id}/openai/chat/completions \
     -H 'cf-aig-authorization: Bearer {CF_AIG_TOKEN}' \
     -H "Authorization: Bearer YOUR_OPENAI_API_KEY" \
     -H "Content-Type: application/json" \
     -d '{"model": "gpt-4", "messages": [...]}'

2. přístup BYOK: Klíč nakonfigurujte jednou v dashboardu a odesílejte požadavky, aniž byste klíče vystavovali

   curl https://gateway.ai.cloudflare.com/v1/{account_id}/{gateway_id}/openai/chat/completions \
     -H 'cf-aig-authorization: Bearer {CF_AIG_TOKEN}' \
     -H "Content-Type: application/json" \
     -d '{"model": "gpt-4", "messages": [...]}'

V dashboardu AI Gateway můžete:

• Zobrazit všechny nakonfigurované klíče API podle poskytovatele
• Zjistěte, kdy byl každý klíč naposledy použit
• Zkontrolujte stav jednotlivých klíčů (aktivní, platnost vypršela, neplatný)

Chcete-li otočit klíč API:

1. Vygenerujte nový API klíč od svého poskytovatele AI
2. V Cloudflare dashboardu upravte existující záznam klíče
3. Nahraďte starý klíč novým.
4. Uložit změny

Vaše aplikace začnou nový klíč používat okamžitě, bez jakýchkoli změn kódu nebo výpadku.

Chcete-li odebrat klíč API:

1. V dashboardu AI Gateway najděte klíč, který chcete odebrat
2. Klikněte na Smazat tlačítko
3. Potvrdit odstranění

AI Gateway umožňuje uložit více API klíčů pro téhož poskytovatele. Díky tomu můžete:

• Používejte různé klíče pro různé případy použití (například vývoj oproti produkci)
• Postupně migrujte mezi klíči během rotace

Ke každému klíči API lze přiřadit alias pro jeho identifikaci. Při přidávání klíče můžete zadat vlastní alias, jinak systém použije default jako alias.

Při odesílání požadavků AI Gateway použije klíč s default alias jako výchozí. Chcete-li použít jiný klíč, uveďte cf-aig-byok-alias hlavičku s aliasem klíče, který chcete použít.

Pokud máte nakonfigurováno více klíčů OpenAI s různými aliasy (například default, production, a testing), můžete určit, který z nich chcete použít:

# Uses the key with alias "default" (no header needed)
curl https://gateway.ai.cloudflare.com/v1/{account_id}/{gateway_id}/openai/chat/completions \
  -H 'cf-aig-authorization: Bearer {CF_AIG_TOKEN}' \
  -H "Content-Type: application/json" \
  -d '{"model": "gpt-4", "messages": [...]}'

# Uses the key with alias "production"
curl https://gateway.ai.cloudflare.com/v1/{account_id}/{gateway_id}/openai/chat/completions \
  -H 'cf-aig-authorization: Bearer {CF_AIG_TOKEN}' \
  -H 'cf-aig-byok-alias: production' \
  -H "Content-Type: application/json" \
  -d '{"model": "gpt-4", "messages": [...]}'

# Uses the key with alias "testing"
curl https://gateway.ai.cloudflare.com/v1/{account_id}/{gateway_id}/openai/chat/completions \
  -H 'cf-aig-authorization: Bearer {CF_AIG_TOKEN}' \
  -H 'cf-aig-byok-alias: testing' \
  -H "Content-Type: application/json" \
  -d '{"model": "gpt-4", "messages": [...]}'